KOMMUNIKATION IN RECHNERNETZEN ... - Informatik

K O MMUNIK AT I ON IN RECHNERNETZEN
Internet-Dienste mit NAT nach außen anbieten
Konzeptionell funktioniert NAT hervorragend für Datenübertragungen, die vom lokalen Netzwerk
initiiert und in der dynamischen NAT-Übersetzungstabelle im Router verwaltet werden. Wie kann
man jedoch einen Dienst, der auf einem Rechner im lokalen Netzwerk läuft, im Internet zur
Verfügung stellen, so dass Verbindungen vom Internet aus initiiert werden können? Ein Beispiel
hierfür wäre ein Mailserver, der vom Internet aus erreichbar sein muss, damit E-Mails
empfangen werden können.
Für diese Zwecke gibt es neben der dynamischen NAT-Übersetzungstabelle noch eine statische
Port-Übersetzungstabelle. In dieser Tabelle können statische Port-Umleitungen eingetragen
werden. In so einer Umleitung kann ein bestimmter Port auf dem Router freigeschaltet und auf
einen Rechner im lokalen Netzwerk umgeleitet werden.
Wird beispielsweise der TCP-Port 25 (der Standard-Port für SMTP) auf einem NAT-Router
geöffnet und zu einem lokalen Mailserver im Netzwerk umgeleitet, antwortet, wenn jemand die
öffentliche IP-Adresse über den TCP-Port 25 anspricht, der lokale Mailserver.
Die Nutzung von NAT in einem Beispiel
Gegeben sei ein lokales Netzwerk, bestehend aus drei Rechnern, die allesamt über einen
Internet-Zugang auf das Internet zugreifen sollen. Dieser Internet-Zugang kann jedoch nur über
eine öffentliche IP-Adresse verfügen, es muss also ein Router eingesetzt werden, der in der
Lage ist, NAT einzusetzen.
Da mittelfristig nicht mehr als 250 Rechner in das lokale Netzwerk hinzukommen sollen,
reserviert der Netzwerkadministrator für das lokale Netzwerk den IP-Adressbereich 192.168.0.0
bis 192.168.0.255, alle Geräte im lokalen Netzwerk verwenden also die Subnetzmaske
255.255.255.0. Der Router erhält für die Schnittstelle zum lokalen Netzwerk die IP-Adresse
192.168.0.1, die drei Rechner jeweils darauf folgende IP-Adressen 192.168.0.2, 192.168.0.3
und 192.168.0.4.
Möchte nun ein Benutzer mit seinem Rechner, der die IP-Adresse 192.168.0.3 besitzt, auf das
Internet zugreifen, wird diese Anfrage vom Rechner an das Standard-Gateway im lokalen
Netzwerk geleitet, also an den Router mit der IP-Adresse 192.168.0.1.
Der Router schreibt nun im Rahmen der NAT-Adressübersetzung die Datenpakete, die die
Anfrage von 192.168.0.3 enthalten, um, bevor er sie ins Internet überträgt. Bei dieser
Übersetzung entfernt er die interne IP-Adresse 192.168.0.3 und ersetzt sie durch die öffentliche
IP-Adresse des Routers. Gleichzeitig verwaltet der Router diese Verbindung in seiner internen
NAT-Tabelle.
Anhand dieser NAT-Tabelle können Datenpakete, die aus dem Internet den Router erreichen,
interpretiert werden. Können die ankommenden Datenpakete als Antwort auf eine abgesendete
Anfrage interpretiert werden, nimmt der Router wiederum eine Adressübersetzung der
betreffenden Datenpakete vor und ersetzt diesmal die Empfängeradresse; anstelle der
öffentlichen IP-Adresse wird nun die interne IP-Adresse 192.168.0.3 eingefügt, die gemäß der
NAT-Adressübersetzung als ursprüngliche Quelle geführt wird.
Kann NAT eine Firewall ersetzen?
Diese Frage wird sehr häufig gestellt und in gewisser Hinsicht kann sie auch bejaht werden.
Tatsächlich ist ein Rechner in einem lokalen Netzwerk, die hinter einem Router mit NAT stehen,
von außen nicht erreichbar, wenn auf dem NAT-Router kein Port von außen nach innen zu
diesem Rechner durchgeleitet wird. Durch NAT ist deshalb von außen auch nur sehr schwer
Schaller (02.07.10) Seite 27 / 43 INFORMATIK RP FREIBURG